はじめに：なぜフロントエンドエンジニアがこの脆弱性を知るべきか？

皆さん、こんにちは。日本の最前線で活躍するフロントエンドエンジニアの皆さんにとって、バックエンドフレームワークの脆弱性は一見無関係に思えるかもしれません。しかし、今回お伝えするデータベースクエリビルダー「Kysely」の脆弱性 (GHSA-pv5w-4p9q-p3v2 / CVE-2026-44635) は、バックエンドがKyselyを使用している場合、あなたの設計するAPIを介してユーザー入力がデータベースの機密情報にアクセスするきっかけとなり得ます。これは、SQLインジェクションに酷似した深刻な問題であり、早急な対策が求められます。

本記事では、この脆弱性の詳細、具体的な攻撃シナリオ、そしてフロントエンド開発者がバックエンドチームと連携してどのような対策を講じるべきかを技術的に解説します。

CVE-2026-44635の概要：JSONパスへのSQLインジェクション？

この脆弱性の深刻度は「高 (High)」と評価されており、Kyselyの`JSONPathBuilder.key()`や`.at()`メソッドに起因します。これらのメソッドはデータベースのJSON型データを操作する際にJSONパスを指定するために使われますが、ユーザーからの入力（例：URLクエリパラメータやフォーム入力）がJSONパスの一部として直接使用されると問題が発生します。

具体的には、ユーザーが入力した文字列に含まれる`.`、`[`、`]`、`*`といったJSONパス固有の特殊文字が適切にエスケープされずに処理されてしまいます。これにより、攻撃者は開発者が意図しないJSONパスを構築し、本来アクセスできないはずのデータベース内のJSONデータにアクセスしたり、不正に改ざんしたりすることが可能になります。まるでSQLインジェクション攻撃がJSONパスに対して行われるような状況です。

なぜ以前の修正では防げなかったのか？

実は、Kyselyでは以前にも同様のJSONパスに関する脆弱性 (CVE-2026-32763) が修正されています。しかし、その修正は主にシングルクォートのエスケープに限定されており、今回の問題の原因であるJSONパス固有の特殊文字のエスケープが見落とされていました。そのため、Kysely 0.28.16を含む特定のバージョンでは、依然としてこの重大な脆弱性が存在しています。

具体的な影響：データ漏洩と改ざんの危険性

この脆弱性が悪用されると、以下のような深刻な影響が考えられます。

<b>データ漏洩</b>

データベースのJSONカラムに保存されている、ネストされた機密情報（社会保障番号、APIアクセストークン、管理者フラグなど）が不正に読み取られる可能性があります。例えば、`profile.internal.ssn`のようなパスをユーザーが入力することで、本来はアクセスできないはずの隠された`ssn`フィールドの値が取得されてしまう、といったシナリオが考えられます。

<b>データ改ざん</b>

データベースの`UPDATE`文でJSONパスを介して値を書き換える場合も同様に脆弱です。攻撃者は、本来変更できないはずのネストされたフィールド（例えば、`user.role`の`admin`フラグ）を不正に`true`に書き換えて、特権を奪取する可能性もあります。

特に注意すべきは、`Record<string, T>`のような型定義を持つJSONカラムに対して、たとえ型安全なコードを書いているつもりでも、ランタイムで脆弱性が発動しうる点です。この問題は、MySQL、PostgreSQL（`->`や`->>`演算子を使用する場合）、SQLiteの各データベース方言で確認されています。

フロントエンドエンジニアが取るべき対策

バックエンドチームがKyselyを使用している場合、フロントエンド側からの入力がこの脆弱性を引き起こさないよう、以下の点を特に意識し、バックエンドチームと連携してください。

<b>1. 入力値の厳密な検証（ホワイトリスト方式）</b>

JSONパスの各要素（キー名やインデックス）を、単なる文字列としてエスケープするだけでなく、許可された文字セットのみを通過させる「ホワイトリスト方式」で厳密に検証することが必須です。許可されない特殊文字（`.`、`[`、`]`、`*`など）が含まれている場合は、バックエンドでエラーとして処理するか、適切にエスケープ処理を施すように設計しましょう。

<b>2. JSONパスのパラメータ化の検討</b>

もしお使いのデータベースがJSONパス自体のパラメータ化をサポートしている場合（例：PostgreSQLの`jsonb_path_query($1, $2)`）、ユーザー入力値をバインド変数として渡し、SQLインジェクション対策と同様に処理することを検討してください。これにより、ユーザー入力が直接JSONパスの一部として解釈されるのを防ぎます。

<b>3. メソッド引数の型厳格化と入力制限</b>

Kyselyの`.at()`メソッドに渡すランタイムでの入力値は、ドキュメントに定義されている`number | 'last' | '#-${digits}'`のみに制限されていることを確認してください。また、`.key()`メソッドも、可能な限り静的に定義されたキーのみを受け付けるように厳格化し、動的なユーザー入力は避けるべきです。

<b>4. Kyselyの速やかなアップデート</b>

Kyselyの開発チームは現在、この問題の修正に取り組んでいます。修正がリリースされ次第、速やかにKyselyのバージョンを最新にアップデートするよう、バックエンドチームに依頼してください。これが最も根本的かつ確実な対策となります。

まとめ

KyselyのJSONパス脆弱性 (CVE-2026-44635) は、データベースの機密データの漏洩や改ざんを引き起こす非常に危険な問題です。フロントエンドエンジニアの皆さんも、バックエンドAPIを通じてユーザー入力がデータベース操作にどのように影響するかを理解し、入念な入力検証とバックエンドチームとの密な連携が不可欠です。この情報を参考に、皆さんのプロダクトのセキュリティ強化に努めてください。